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Datenschutz und Beratung im Arzneimittelversandhandel 


Vorbemerkung der Fragesteller 

Die Bestellung von Arzneimitteln im Internet ist besonders sensibel. Zum einen 
ist die Abgabe von Arzneimitteln nach § 20 Absatz 2 S. 3 Apothekenbetriebs¬ 
ordnung (ApBetrO) mit besonderen Beratungsverpflichtungen verbunden, die 
aus dem Versand kaum einzuhalten sind. So ist „bei der Abgabe von Arzneimit¬ 
teln an einen Patienten oder anderen Kunden [...] durch Nachfrage auch festzu¬ 
stellen, inwieweit dieser gegebenenfalls weiteren Infonnations- und Beratungs¬ 
bedarf hat und eine entsprechende Beratung anzubieten.“ Bereits 2013 hat das 
Bundesministerium für Gesundheit klargestellt, dass aus seiner Sicht bereits die 
Angabe einer Telefonnummer ausreicht, um der Beratungspflicht nachzukom¬ 
men (www.deutsche-apotheker-zeitung.de/news/artikel/20 13/02/20/bmg-aeussert- 
sich-zur-beratungspflicht-von-versandapotheken). 

Der Versandhandel mit Arzneimitteln ist aber deswegen sensibel, weil notwen¬ 
digerweise Gesundheits- und andere Sozialdaten übermittelt werden. Nicht um¬ 
sonst gehören Gesundheitsdaten inzwischen zu den begehrtesten Daten über¬ 
haupt (www.handelsblatt.com/technik/it-intemet/cyber-kriminalitaet-hacker-sind- 
scharf-auf-gesundheitsdaten/10843826.html?ticket=ST-8355498-GsupVfGecx 
E4BfBAcJvI-ap3) und sind auch nach der Datenschutzgrundverordnung 
(DSGVO) (www.datenschutz-gmndverordnung.eu/gmndverordnung/art-9-ds-gvo/) 
und nach dem Sozialgesetzbuch (z. B. § 35 SGB I, §§ 67a bis 85a SGB X) be¬ 
sonders geschützt. Die DSGVO konkretisiert: „Erfolgt die Einwilligung der be¬ 
troffenen Person durch eine schriftliche Erklämng, die noch andere Sachver¬ 
halte betrifft, so muss das Ersuchen um Einwilligung in verständlicher und 
leicht zugänglicher Form in einer klaren und einfachen Sprache so erfolgen, 
dass es von den anderen Sachverhalten klar zu unterscheiden ist“ (Artikel 7 Ab¬ 
satz 2 DSGVO). 

Jedoch nutzen viele Versandapotheken sogenannte Remarketing- und andere 
Werbefunktionen externer Anbieter. Das heißt, sie geben Daten z. B. an Google, 
Microsoft oder Facebook weiter, z. B. damit auf externen Webseiten entspre¬ 
chende personalisierte Werbung angezeigt werden kann. Wer bei DocMorris 
bestellt, gibt beispielsweise im Regelfall seine Einwilligung, dass Daten an 
folgende Firmen übermittelt werden: Google (USA), Criteo (Frankreich), 
Kairion, ADITION technologies AG, EPROFESSIONAL GmbH, Outbrain 
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(USA), Active Agent AG, Affilinet, Microsoft (USA), The Reach Group, 
Yahoo (Kanada), NEORY, Facebook (Irland) und ADEX (www.docmorris.de/ 
service/bestellung/datenschutz). Bei außereuropäischen Diensten würden „in 
der Regel“ die IP-Adressen auf der Grundlage des EU-US Privacy Shield an 
Server in die USA übermittelt und dort anonymisiert. Dieser Datenweitergabe 
kann widersprochen werden, allerdings sind die Bedingungen „im Kleinge¬ 
druckten“ versteckt, und der Widerspruch erfordert die Eigeninitiative der Be¬ 
stellenden. Auch deutsche Versandapotheken nutzen derartige Funktionen. So 
werden bei einer Bestellung bei der Versandapotheke www.apotheke.de Daten 
unter anderem an Google AdSense, Google AdwordsConversion, Facebook 
Custom Audiences und Microsoft (Bing Universal Event Tracking) weitergege¬ 
ben (www.apotheke.de/datenschutz), sofern nicht zuvor explizit widersprochen 
wurde. Dabei bleibt unklar, welche Daten genau weitergegeben werden und ob 
etwa Rückschlüsse auf bestimmte Erkrankungen oder andere Lebensumstände 
möglich sind, die sich aus der Bestellung von Arzneimitteln, medizinischen Di- 
agnostika (z. B. auch Schwangerschaftstests) oder anderen Produkten ergeben. 
Zudem bleibt unklar, wie die externen Firmen die Daten weiterverwenden, ins¬ 
besondere wenn sie vom außereuropäischen Ausland aus operieren. So heißt es 
zur Datenverarbeitung durch Facebook Custom Audiences: „Wir haben keinen 
Einfluss auf den Umfang und die weitere Verwendung der Daten, die durch den 
Einsatz dieses Tools durch Facebook erhoben werden“ (www.apotheke.de/ 
datenschutz). 

Drei große Versandapotheken, DocMorris, Shop Apotheke und Medpex Ver¬ 
sandapotheke, haben nun angekündigt, aus dem Verkauf von Daten aus dem 
Verkauf von nichtrezeptpflichtigen (OTC-) Präparaten ein eigenes Geschäft zu 
machen und dafür eigens ein Gemeinschaftsunternehmen zu gründen. Die Kun¬ 
den sollen überwiegend aus der Industrie kommen (www.deutsche-apotheker- 
zeitung.de/news/artikel/20 18/11/08/die-grossen-eu-versender-verkaufen-ab- 
januar-2019-otc-daten). 


1. Inwiefern können sensible Gesundheits- und andere Sozialdaten von Ver¬ 
sandapotheken legal weitergegeben werden, wenn dem nicht zuvor aus¬ 
drücklich widersprochen wurde? 

Personenbezogene Gesundheitsdaten können im Anwendungsbereich der Ver¬ 
ordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. Ap¬ 
ril 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezoge¬ 
ner Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG 
(Datenschutz-Grundverordnung) (ABI. L 119 vom 4. Mai 2016, S. 1; L 314 vom 
22. November 2016, S. 72; L 127 vom 23. Mai 2018, S. 2) (DSGVO) nur dann 
von Versandapotheken zulässig an Dritte übermittelt werden, wenn die betroffe¬ 
nen Personen in diese Übermittlungen zu den hierfür festgelegten Zwecken aus¬ 
drücklich eingewilligt haben oder eine gesetzliche Grundlage für die Übermitt¬ 
lung besteht. Für den Zweck der Abrechnung der abgegebenen Arzneimittel mit 
den gesetzlichen Krankenkassen sind Versandapotheken auf der Grundlage des 
§ 300 des Fünften Buches Sozialgesetzbuch (SGB V) verpflichtet, die dort ge¬ 
nannten Angaben an die gesetzlichen Krankenkassen ggf. auch unter Einschal¬ 
tung von Rechenzentren zu übermitteln. 
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2. Inwiefern ist bei einem Bestellvorgang und fehlendem ausdrücklichem Wi¬ 
derspruch die Weitergabe an Google, Facebook etc. oder inländischen Re¬ 
marketing-Diensten insbesondere von personenbezogenen 

a) genetischen oder biometrischen Daten, 

b) Daten, die Rückschlüsse auf bestimmte Erkrankungen oder Behinderun¬ 
gen erlauben, 

c) Daten, die Rückschlüsse auf Sexualleben oder sexuelle Orientierung er¬ 
lauben und 

d) sonstigen Gesundheitsdaten 
legal? 

Die Rechtmäßigkeit der Verarbeitung personenbezogener Daten der Kunden von 
Versandapotheken richtet sich nach den Vorgaben der DSGVO. 

So ist in Artikel 6 DSGVO festgelegt, dass die Verarbeitung personenbezogener 
Daten - worunter gemäß Artikel 4 Nummer 2 DSGVO neben dem Erheben und 
Speichern beispielsweise auch die Offenlegung durch Übermittlung personenbe¬ 
zogener Daten an Dritte fällt - nur rechtmäßig ist, wenn mindestens eine der in 
Artikel 6 Absatz 1 Buchstaben a bis f DSGVO normierten Voraussetzungen er¬ 
füllt ist (sogenanntes Verbot mit Erlaubnisvorbehalt). 

Sollte es sich um eine Verarbeitung besonderer Kategorien personenbezogener 
Daten im Sinne des Artikels 9 Absatz 1 DSGVO handeln, so wäre die Datenver¬ 
arbeitung zudem nur rechtmäßig, wenn einer der in Artikel 9 Absatz 2 DSGVO 
normierten Ausnahmetatbestände erfüllt ist. Zu den besonderen Kategorien per¬ 
sonenbezogener Daten gehören gemäß Artikel 9 Absatz 1 DSGVO unter anderem 
genetische und biometrische Daten, Gesundheitsdaten oder Daten zur sexuellen 
Orientierung einer natürlichen Person. 

Die Verarbeitung von Kundendaten durch Versandapotheken ließe sich — sofern 
es sich nicht um besondere Kategorien personenbezogener Daten im Sinne des 
Artikels 9 DSGVO handelt - auf Artikel 6 Absatz 1 Buchstabe a DSGVO stüt¬ 
zen. Dies setzt voraus, dass die jeweils betroffene Person ihre Einwilligung zu der 
Verarbeitung der sie betreffenden personenbezogenen Daten wirksam erteilt hat. 
Unter einer wirksamen Einwilligung wird gemäß Artikel 4 Nummer 11 DSGVO 
jede freiwillig für den bestimmten Fall, in informierter Weise und unmissver¬ 
ständlich abgegebene Willensbekundung in Form einer Erklärung oder einer 
sonstigen eindeutigen bestätigenden Handlung verstanden, mit der die betref¬ 
fende Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden 
personenbezogenen Daten einverstanden ist. 

Sofern seitens der Versandapotheken eine (informierte) Einwilligung nicht in 
Form einer ausdrücklichen Erklärung eingeholt werden sollte, ist - bei Vorliegen 
DSGVO-konfonner Information des Betroffenen über die beabsichtigte Daten¬ 
verarbeitung - grundsätzlich auch eine Einwilligung durch eine sonstige eindeu¬ 
tige Handlung denkbar. 

Sollten durch Versandapotheken auch besondere Kategorien personenbezogener 
Daten (in Betracht kämen hier vor allem Gesundheitsdaten) verarbeitet werden, 
so würden an die Wirksamkeit einer Einwilligung durch Artikel 9 Absatz 2 Buch¬ 
stabe a DSGVO nochmals erhöhte Anforderungen gestellt. Die betroffene Person 
müsste in diesem Fall in die Verarbeitung für einen oder mehrere festgelegte 
Zwecke ausdrücklich (und damit nicht nur konkludent) eingewilligt haben. 
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Für die Verarbeitung von Kundendaten durch Versandapotheken käme gegebe¬ 
nenfalls auch Artikel 6 Absatz 1 Buchstabe f DSGVO als Rechtsgrundlage in Be¬ 
tracht. Ob der Einsatz von Tracking-Mechanismen, die das Verhalten von be¬ 
troffenen Personen im Internet nachvollziehbar machen, oder die Erstellung von 
Nutzerprofilen beispielsweise mit Hilfe von Cookies überhaupt auf diese - eine 
im Ergebnis zugunsten des Datenverarbeiters ausgehende Interessenabwägung 
voraussetzende - Vorschrift gestützt werden kann, wird allerdings unter anderem 
von unabhängigen Datenschutzaufsichtsbehörden bezweifelt und ist gegenwärtig 
noch nicht abschließend geklärt. Unabhängig davon ließe sich auf diese Rechts¬ 
grundlage die Verarbeitung ohnehin dann nicht stützen, wenn es sich um beson¬ 
ders sensible Daten im Sinne von Artikel 9 Absatz 1 DSGVO handeln sollte. Dies 
gilt umso mehr, weil einer der zusätzlich erforderlichen Ausnahmetatbestände 
nach Artikel 9 Absatz 2 Buchstaben b bis j DSGVO hier erkennbar nicht in Be¬ 
tracht kommen dürfte. 

Ob die konkret erfolgende Verarbeitung personenbezogener Daten der Kunden 
durch Versandapotheken wirksam auf eine der genannten Rechtgrundlagen des 
Artikels 6 bzw. des Artikels 9 DSGVO gestützt werden kann und somit diesen 
datenschutzrechtlichen Vorgaben entsprochen wird, ist eine Frage des Einzelfalls, 
die der Beurteilung der unabhängigen Datenschutzaufsichtsbehörden unterfällt. 
Die Bundesregierung hat in ihrer Antwort auf die Kleine Anfrage der Fraktion 
DIE LINKE, auf Bundestagsdrucksache 19/2598 bereits daraufhingewiesen, dass 
nach Artikel 57 Absatz 1 Buchstabe a DSGVO die Überprüfung der Einhaltung 
der Vorschriften der DSGVO und ihre Durchsetzung den jeweils zuständigen un¬ 
abhängigen Datenschutzaufsichtsbehörden obliegt. 


3. Inwiefern sind IP-Adressen in Kombination mit bestimmten bestellten oder 
angesehenen Produkten (z. B. Arzneimitteln) nach Ansicht der Bundesregie¬ 
rung als personenbezogene Gesundheitsdaten anzusehen? 

Der Europäische Gerichtshof hat in seinem Urteil vom 19. Oktober 2016 (EuGFl, 
Rs C-582/14) festgestellt, dass die dynamische Intemetprotokoll-Adresse (IP-Ad- 
resse) eines Nutzers dann für den Betreiber der Website ein personenbezogenes 
Datum darstellt, wenn dieser über rechtliche Mittel verfügt, die es ihm erlauben, 
den betreffenden Nutzer anhand der Zusatzinformationen, über die dessen Inter¬ 
netzugangsanbieter verfügt, bestimmen zu lassen. Um personenbezogene Ge¬ 
sundheitsdaten handelt es sich gemäß Artikel 4 Ziffer 15 DSGVO, wenn daraus 
Informationen über den Gesundheitszustand einer natürlichen Person hervorge¬ 
hen. 

Die Entscheidung darüber, ob IP-Adressen in Kombination mit dem Bestellen 
oder der Recherche nach bestimmten Produkten (z. B. Arzneimitteln) als perso¬ 
nenbezogene Gesundheitsdaten anzusehen sind, ist abhängig vom konkreten 
Sachverhalt bzw. Einzelfall und obliegt der Beurteilung der unabhängigen Daten¬ 
schutzaufsichtsbehörden. 
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4. Inwiefern handelt es sich bei „klassischen Abverkaufsdaten“ nach Ansicht 
der Bundesregierung um „Verbraucherdaten“, und inwiefern sind diese Da¬ 
ten in pseudonymisierter Form noch immer Gesundheitsdaten im Besitz der 
Patientinnen und Patienten, wenn nicht ausdrücklich dem Weiterverkauf zuge¬ 
stimmt wurde (www.deutsche-apotheker-zeitung.de/news/artikel/20 18/11/ 
08/die-grossen-eu-versender-verkaufen-ab-januar-2019-otc-daten/chapter:2)? 

Bei der Pseudonymisierung personenbezogener Daten handelt es sich um eine 
mögliche technische Maßnahme zur Schaffung gesteigerter Datensicherheit (Ar¬ 
tikel 4 Nummer 5 und Artikel 32 Absatz 1 Buchstabe a DSGVO), die die Herstel¬ 
lung des Bezuges zu einer spezifischen betroffenen Person erschwert, aber die 
Eigenschaft der betreffenden Daten als personenbezogene bzw. personenbezieh¬ 
bare Daten nicht ändert; als personenbeziehbare Daten unterfallen pseudonymi- 
sierte Daten unverändert in vollem Umfang den Regelungen der DSGVO — ein¬ 
schließlich der zu erfüllenden Anforderungen an eine rechtlich zulässige Daten¬ 
verarbeitung. 

Im Übrigen wird auf die Antwort zu Frage 2 verwiesen. 


5. Welche Anforderungen bestehen nach Kenntnis der Bundesregierung für 
Versandapotheken bezüglich der Infonnation der Kundinnen und Kunden 
über die Datenweitergabe an Dritte und der Widerspruchsmöglichkeiten? 

Inwiefern genügt nach Ansicht der Bundesregierung insbesondere ein Hin- 
weis im „Kleingedruckten“ der Geschäftsbedingungen bzw. Datenschutzbe¬ 
stimmungen, oder muss beispielsweise explizit und erkennbar im Bestellvor¬ 
gang daraufhingewiesen werden? 

Es bestehen keine spezifischen Regelungen bezüglich der Information der Kun¬ 
dinnen und Kunden über die Datenweitergabe an Dritte und der Widerspruchs¬ 
möglichkeiten für Versandapotheken. Somit gilt das allgemeine Datenschutz¬ 
recht. 

Wie bereits im Rahmen der Antwort zu der Frage 2 ausgeführt, setzt Artikel 4 
Nummer 11 DSGVO für das Vorliegen einer wirksamen Einwilligung generell 
voraus, dass die betroffene Person ihre Willensbekundung in infonnierter Weise 
abgibt. Dies verdeutlicht auch die Vorschrift des Artikels 7 DSGVO, wonach das 
Ersuchen um eine Einwilligung in einer verständlichen und leicht zugänglichen 
Form sowie in einer klaren und einfachen Sprache zu erfolgen hat und von ande¬ 
ren Sachverhalten klar zu unterscheiden sein muss. Ob den dort dargestellten An¬ 
forderungen durch einen Hinweis im „Kleingedruckten“ der Geschäftsbedingun¬ 
gen bzw. Datenschutzbestimmungen entsprochen werden kann, ist eine Frage des 
Einzelfalls, die der Beurteilung der unabhängigen Datenschutzaufsichtsbehörden 
unterfallt. 

Zudem trifft den Verantwortlichen gemäß Artikel 12 bis 14 DSGVO die Ver¬ 
pflichtung, die betroffene Person über die Verarbeitung ihrer Daten zu informie¬ 
ren. Dieser Informationspflicht ist insbesondere durch eine entsprechende Daten¬ 
schutzerklärung nachzukommen. Ob die Datenschutzerklärungen der in der An¬ 
frage genannten Versandapotheken den in der DSGVO normierten Informations¬ 
pflichten genügen, ist ebenfalls eine Frage des Einzelfalls, die der Beurteilung der 
hierfür zuständigen unabhängigen Datenschutzaufsichtsbehörden obliegt. 
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6. Inwiefern ist nach Kenntnis der Bundesregierung in der Widerspruchsmög¬ 
lichkeit für die Kundinnen und Kunden ausdrücklich anzugeben, ob die Da¬ 
ten zu Forschungszwecken, zu eigenen Marketingzwecken oder für einen 
gewinnorientierten Weiterverkauf verwendet werden? 

Lässt die DSGVO hier die Möglichkeit einer nationalstaatlichen Regelung, 
und falls ja, plant die Bundesregierung, davon Gebrauch zu machen? 

Artikel 13 DSGVO legt die Informationspflichten bezüglich der Datenverarbei¬ 
tung fest, wenn die personenbezogenen Daten bei der betroffenen Person erhoben 
wurden; Artikel 14 regelt dies, wenn die personenbezogenen Daten nicht bei der 
betroffenen Person erhoben wurden. In beiden Fällen gehört zu den Informations¬ 
pflichten auch die Mitteilung über den Zweck der Datenverarbeitung sowie über 
die Rechtsgrundlage für die Datenverarbeitung. Gemäß Artikel 15 Absatz 1 
Buchstabe a DSGVO hat die betroffene Person u. a. das Recht auf Auskunft dar¬ 
über, für welche Zwecke die personenbezogenen Daten verarbeitet werden. 

Ein Recht auf Widerspruch besteht gemäß Artikel 21 Absatz 1 DSGVO nur bei 
einer Verarbeitung auf Grundlage von Artikel 6 Absatz 1 Buchstaben e oder f 
DSGVO. Werden personenbezogene Daten verarbeitet, um Direktwerbung zu be¬ 
treiben, hat die betroffene Person gemäß Artikel 21 Absatz 2 DSGVO jederzeit 
das Recht, Widerspruch einzulegen. Auf ein mögliches Widerspruchsrecht ist im 
Zusammenhang mit den Informationspflichten hinzuweisen (Artikel 13 Absatz 2 
Buchstabe b und Artikel 14 Absatz 2 Buchstabe c DSGVO). 

Die Bundesregierung plant über die auf der Grundlage von Artikel 23 DSGVO 
bestehenden Einschränkungen der Informationspflichten in den §§ 32 und 33 
Bundesdatenschutzgesetz (BDSG) sowie des Widerspruchsrechts in den §§ 27, 
28 und 36 BDSG hinaus diesbezüglich keine Änderungen. 


7. Inwiefern dürfen nach Kenntnis der Bundesregierung bereits Daten weiter¬ 
gegeben werden, wenn sich Nutzerinnen und Nutzer auf den Seiten nur in¬ 
formiert, aber keine Bestellung ausgelöst haben? 

Es wird auf die Antwort zu Frage 2 verwiesen. 


8. Inwiefern gelten für in- und ausländische Versandapotheken nach Kenntnis 
der Bundesregierung unterschiedliche datenschutzrechtliche Vorgaben? 

Inwiefern sind ausländische Versandapotheken insbesondere an den Sozial¬ 
datenschutz des Sozialgesetzbuches gebunden? 

Soweit die in der Antwort zu Frage 9 genannten Voraussetzungen vorliegen, gel¬ 
ten für inländische und ausländische Versandapotheken die Vorgaben der 
DSGVO. 

Sozialdaten sind personenbezogene Daten, die von einer in § 35 des Ersten Bu¬ 
ches Sozialgesetzbuch (SGB I) genannten Stelle, wie z. B. von den Krankenkas¬ 
sen, im Hinblick auf ihre Aufgaben nach dem Sozialgesetzbuch verarbeitet wer¬ 
den. In- und ausländische Apotheken und Versandapotheken gehören nicht zu 
den in § 35 SGB I genannten Stellen und unterliegen insoweit nicht unmittelbar 
dem Sozialdatenschutz nach dieser Bestimmung. Sofern allerdings die Apothe¬ 
ken und Versandapotheken Sozialdaten von einer in § 35 SGB I genannten Stelle 
(z. B. von Kranken- und Pflegekassen oder Reha-Trägern) erhalten, haben sie die 
Daten in demselben Umfang geheim zu halten wie diese Stellen und die Daten 
nur zu dem Zweck zu verarbeiten, zu dem diese ihnen befugt übermittelt wurden 
(sog. verlängerter Sozialdatenschutz nach § 78 Absatz 1 Satz 1 und 3 des Zehnten 
Buches Sozialgesetzbuch). 
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9. Inwiefern ist die Weitergabe sensibler personenbezogener Gesundheitsdaten 
durch außereuropäische Firmen wie Google, Facebook etc. auch dann legal, 
wenn eine nicht weiter spezifizierte Weiterverwendung der Daten durch 
diese Firmen erfolgen kann? 

Gemäß Artikel 3 Absatz 1 DSGVO findet die DSGVO auf die Verarbeitung per¬ 
sonenbezogener Daten Anwendung, soweit diese im Rahmen der Tätigkeiten ei¬ 
ner Niederlassung eines Verantwortlichen oder eines Auftragsverarbeiters in der 
Europäischen Union (EU) erfolgt, und zwar unabhängig davon, ob die Verarbei¬ 
tung als solche in der EU stattfmdet. Darüber hinaus findet die DSGVO gemäß 
Artikel 3 Absatz 2 DSGVO auf die Verarbeitung personenbezogener Daten von 
betroffenen Personen, die sich in der EU befinden, Anwendung, sofern diese Ver¬ 
arbeitung im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen 
in der EU oder der Beobachtung des Verhaltens betroffener Personen in der EU 
steht (sogenanntes Marktortprinzip). 

Unter diesen Voraussetzungen findet die DSGVO auch auf die Verarbeitung per¬ 
sonenbezogener Daten durch Unternehmen aus Drittstaaten, wie Google oder Fa¬ 
cebook, Anwendung. 

Im Übrigen wird auf die Antwort zu Frage 2 verwiesen. 


10. Inwiefern erachtet die Bundesregierung die Weitergabe von Gesundheitsda¬ 
ten an Dritte für problematisch, wenn über die Weiterverarbeitung dieser Fir¬ 
men keine weiteren Angaben gemacht werden oder gemacht werden kön¬ 
nen? 

Gemäß Artikel 5 Absatz 1 Buchstabe b DSGVO müssen personenbezogene Da¬ 
ten für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen 
nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbei¬ 
tet werden. 

Die Beurteilung konkreter Einzelfälle hinsichtlich der Zulässigkeit des in Frage 
stehenden Vorgehens obliegt den unabhängigen Datenschutzaufsichtsbehörden 
(siehe auch Antwort zu Frage 2). 


11. Welche Vorgaben gelten nach Kenntnis der Bundesregierung für die Über¬ 
mittlung personenbezogener Daten an das außereuropäische Ausland im Un¬ 
terschied zur innereuropäischen Weitergabe? 

Neben dem Vorliegen der Anforderungen nach der DSGVO für eine zulässige 
Datenverarbeitung setzt die Übermittlung personenbezogener Daten in Staaten 
außerhalb der EU bzw. des Europäischen Wirtschaftsraums (sogenannte Dritt¬ 
staatenübermittlung) voraus, dass die besonderen Anforderungen nach Kapitel V 
DSGVO erfüllt werden. 

Eine Übermittlung auf der Grundlage von Artikel 45 DSGVO darf grundsätzlich 
erfolgen, wenn für das Drittland durch Entscheidung der Kommission ein ange¬ 
messenes Datenschutzniveau anerkannt ist. Bei der Prüfung der Angemessenheit 
hat die Kommission die innerstaatlichen Rechtsvorschriften und deren Anwen¬ 
dung, die Existenz und die wirksame Funktionsweise einer oder mehrerer unab¬ 
hängiger Datenschutzaufsichtsbehörden sowie seiner eingegangenen internatio¬ 
nalen Verpflichtungen zu berücksichtigen. 

Fehlt es an einem Angemessenheitsbeschluss nach Artikel 45 DSGVO, dürfen 
personenbezogene Daten gemäß Artikel 46 Absatz 1 DSGVO an ein Drittland nur 
übermittelt werden, sofern geeignete Garantien, etwa Standarddatenschutzklau- 
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sein, verbindliche interne Datenschutzvorschriften (Artikel 47 DSGVO) oder ge¬ 
nehmigte Verhaltensregeln verwendet werden und der betroffenen Person durch¬ 
setzbare Rechte und wirksame Rechtsbehelfe zur Verfügung stehen. 

Liegen weder ein Angemessenheitsbeschluss der Kommission nach Artikel 45 
Absatz 3 DSGVO noch geeignete Garantien nach Artikel 46 DSGVO vor, ist eine 
Datenübermittlung an ein Drittland nur unter besonderen, in Artikel 49 Absatz 1 
DSGVO explizit abschließend genannten Bedingungen zulässig. Die DSGVO 
nennt hier etwa die Einwilligung der betroffenen Person in die Datenübermittlung 
in ein Drittland. Dies setzt voraus, dass die betroffene Person vorher ausdrücklich 
über bestehende mögliche Risiken derartiger Datenübermittlungen, d. h. insbe¬ 
sondere darüber, dass kein angemessenes Datenschutzniveau gegeben ist, aufge¬ 
klärt wurde. Weitere Ausnahmetatbestände bestehen etwa, wenn die Übermitt¬ 
lung zur Erfüllung eines Vertrags, aus wichtigen Gründen des öffentlichen Inte¬ 
resses, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen 
oder zum Schutz lebenswichtiger Interessen der betroffenen Person oder anderer 
Personen erforderlich ist. 


12. Inwiefern hat die Bundesregierung von Artikel 9 Absatz 4 DSGVO Ge¬ 
brauch gemacht, demzufolge die Mitgliedstaaten zusätzliche Bedingungen, 
einschließlich Beschränkungen, einfuhren oder aufrechterhalten können, so¬ 
weit die Verarbeitung von genetischen, biometrischen oder Gesundheitsda¬ 
ten betroffen ist? 

Inwiefern hat sie das insbesondere in Bezug auf die Datenverarbeitung in 
Versandapotheken vor, und inwiefern hätte eine solche Regelung Bindungs¬ 
wirkung für ausländische Versandapotheken? 

Artikel 9 Absatz 4 DSGVO erlaubt, für die Verarbeitung von genetischen, bio¬ 
metrischen oder Gesundheitsdaten zusätzliche Bedingungen, einschließlich Be¬ 
schränkungen, einzuführen oder auffechtzuerhalten. Auf dieser Grundlage ist es 
u. a. zulässig, Formerfordernisse für die Einwilligung zur Verarbeitung dieser Da¬ 
ten beizubehalten oder festzulegen. 

Die Bundesregierung hat insofern von der Öffnungsklausel des Artikels 9 Ab¬ 
satz 4 DSGVO Gebrauch gemacht, als bestehende spezialgesetzliche Regelungen 
betreffend die Verarbeitung von genetischen, biometrischen oder Gesundheitsda¬ 
ten grundsätzlich auffechterhalten werden können und lediglich formal-techni¬ 
sche Anpassungen an die DSGVO erfahren haben. 

Im Entwurf eines Zweiten Gesetzes zur Anpassung des Datenschutzrechts an die 
Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 
(2. DSAnpUG-EU) sind darüber hinaus u. a. im SGB V, im Arzneimittelgesetz, 
im Transfüsionsgesetz und im Elften Buch Sozialgesetzbuch Regelungen enthal¬ 
ten, die im Vergleich zu dem nach der DSGVO unmittelbar geltenden daten¬ 
schutzrechtlichen Standard zusätzliche Bedingungen oder Einschränkungen für 
die Verarbeitung von Gesundheitsdaten oder von genetischen Daten auf der 
Grundlage der Öffnungsklausel in Artikel 9 Absatz 4 DSGVO vorsehen. Von der 
Öffnungsklausel wurde in Regelungen zu datenschutzrechtlichen Einwilligungs- 
erfordemissen, bei Regelungen zur Form der Einwilligung (schriftlich) sowie im 
Hinblick auf Spezifizierungen bei Löschpflichten Gebrauch gemacht. 

Da der Begriff der Gesundheitsdaten gemäß Erwägungsgrund 35 DSGVO weit 
zu verstehen ist und somit auch Informationen über die natürliche Person zu den 
Gesundheitsdaten gehören, die im Zuge der Anmeldung für sowie der Erbringung 
von Gesundheitsdienstleistungen im Sinne der Richtlinie 2011/24/EU des Euro¬ 
päischen Parlaments und des Rates vom 9. März 2011 über die Ausübung der 
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Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung (ABI. L88 
vom 4. April 2011, S. 45) für die natürliche Person erhoben werden, oder auch 
Nummern, Symbole oder Kennzeichen, die einer natürlichen Person zugeteilt 
wurden, um diese natürliche Person für gesundheitliche Zwecke eindeutig zu 
identifizieren, unterfallen die vom Leistungserbringer und vom Leistungsträger 
im Rahmen der Kranken- und Pflegeversicherung verarbeiteten personenbezoge¬ 
nen Daten insgesamt der Öffnungsklausel des Artikels 9 Absatz 4 DSGVO. 

Es sind keine Neuregelungen in Bezug auf die Datenverarbeitung in Versandapo¬ 
theken vorgesehen. 


13. Inwiefern ist der Weiterverkauf der Daten an interessierte weitere Daten¬ 
händler, Arbeitgeber oder Versicherungen durch Dritte nach Ansicht der 
Bundesregierung ausgeschlossen, nachdem sie legal an Google, Facebook 
etc. weitergegeben wurden? 

Es wird auf die Antwort zu Frage 2 verwiesen. 


14. Inwiefern kann nach Kenntnis der Bundesregierung nationalstaatlich die 
Weiterverarbeitung zu Marketingzwecken bei der Einlösung von Kassenre¬ 
zepten eingeschränkt werden? 

Eine Einschränkung der Verarbeitung personenbezogener Daten durch Apothe¬ 
ken oder durch in deren Auftrag tätige Rechenzentren erfolgt auch im Hinblick 
auf Marketingzwecke im Rahmen der Abrechnung mit den gesetzlichen Kran¬ 
kenkassen durch § 300 SGB V. Danach darf eine Verarbeitung der Daten nur für 
im Sozialgesetzbuch bestimmte Zwecke und nur in einer auf diese Zwecke aus¬ 
gerichteten Weise erfolgen. Lediglich anonyme Daten dürfen auch für andere 
Zwecke verarbeitet werden, weil die Verarbeitung nicht personenbezogener Da¬ 
ten keinen datenschutzrechtlichen Vorgaben unterliegt. Im Übrigen wird auf die 
Antwort zu Frage 2 verwiesen. 


15. Können die Kundinnen und Kunden nach Kenntnis der Bundesregierung 
eine verbindliche Auskunft darüber verlangen, wer Kenntnis von ihren Da¬ 
ten erlangen konnte und ob eine Weitergabe an Datenhändler, Arbeitgeber 
oder Versicherungen ausgeschlossen werden kann? 

Artikel 15 DSGVO regelt das Auskunftsrecht der betroffenen Person. Diese kann 
u. a. Auskunft über die Verarbeitungszwecke und Empfänger verlangen, gegen¬ 
über denen die personenbezogenen Daten offengelegt worden sind oder noch of¬ 
fengelegt werden. 


16. Inwiefern werden nationalstaatliche Bestimmungen beim Datenschutz bei 
der Festlegung der sogenannten Länderliste beim Deutschen Institut für Me¬ 
dizinische Dokumentation und Infonnation (DIMDI) für legalen Arzneimit¬ 
telversand aus dem Ausland berücksichtigt? 

Plant die Bundesregierung hier Änderungen? 

Nationalstaatliche Bestimmungen beim Datenschutz wurden bei der Festlegung 
der sogenannten „Länderliste“ nicht berücksichtigt. Derzeit sind keine Änderun¬ 
gen hierzu vorgesehen. 
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17. Bleibt die Bundesregierung bei ihrer Rechtsauslegung, dass Präsenzapothe¬ 
ken gemäß § 20 Absatz 2 Satz 3 ApBetrO aktiv eine Beratung anbieten müs¬ 
sen, Versandapotheken aber nicht (vgl. www.deutsche-apotheker-zeitung. 
de/news/artikel/2013/02/20/bmg-aeussert-sich-zur-beratungspflicht-von- 
versandapotheken)? 

18. Inwiefern reicht dafür nach Ansicht der Bundesregierung insbesondere ein 
schriftlicher Standardhinweis, und inwiefern wäre ein solcher schriftlicher 
Hinweis oder die Angabe einer Telefonnummer auch für Präsenzapotheken 
ausreichend, um der Pflicht zum aktiven Beratungsangebot nachzukommen? 

Inwiefern sieht die Bundesregierung hier eine systematische Ungleichbe¬ 
handlung? 

19. Geht die Bundesregierung davon aus, dass vor allem Menschen bei Versen¬ 
dern bestellen, die weniger Beratungsbedarf haben, und inwiefern findet hier 
nach Ansicht der Bundesregierung Rosinenpickerei statt? 

20. Inwiefern ist die Pflicht zum aktiven Beratungsangebot laut ApBetrO der 
Tatsache geschuldet, dass sich Beratungsbedarf der Patientinnen und Patien¬ 
ten oft erst im Gespräch herausstellt, und inwiefern sind die Kundinnen und 
Kunden von Versandapotheken unter diesem Gesichtspunkt weniger gut ver¬ 
sorgt als Patientinnen und Patienten von Präsenzapotheken? 

Die Fragen 17 bis 20 werden aufgrund ihres Sachzusammenhanges gemeinsam 
beantwortet. 

Auch Versandapotheken sind grundsätzlich zur Beratung verpflichtet. Durch die 
unterschiedlichen Modalitäten für Präsenz- und Versandapotheken wird den tat¬ 
sächlichen Besonderheiten des Versandhandels Rechnung getragen. Wegen des 
fehlenden persönlichen Kontakts zu den Kunden gelten für den Versandhandel 
jedoch gesonderte Reglungen. Insbesondere hat der Apothekenleiter nach § 17 
Absatz 2a Satz 1 Nummer 7 der Apothekenbetriebsordnung (ApBetrO) bei dem 
nach § 11a des Apothekengesetzes (ApoG) erlaubten Versand sicherzustellen, 
dass die behandelte Person daraufhingewiesen wird, dass sie als Voraussetzung 
für die Arzneimittelbelieferung mit ihrer Bestellung eine Telefonnummer anzu¬ 
geben hat, unter der sie durch phannazeutisches Personal der Apotheke mit Er¬ 
laubnis zum Versand apothekenpflichtiger Arzneimittel gemäß § 1 la ApoG auch 
mittels Einrichtungen der Telekommunikation ohne zusätzliche Gebühren bera¬ 
ten wird; die Möglichkeiten und Zeiten der Beratung sind ihnen mitzuteilen. 
Dadurch wird den Kunden ennöglicht und angeboten, eine telefonische Beratung 
in Anspruch zu nehmen. 

Unabhängig hiervon darf nach § 17 Absatz 2a Satz 2 ApBetrO die Versendung 
eines Arzneimittels nicht erfolgen, wenn zur sicheren Anwendung des Arzneimit¬ 
tels ein Informations- oder Beratungsbedarf besteht, der auf einem anderen Wege 
als einer persönlichen Infonnation oder Beratung durch einen Apotheker oder 
eine Apothekerin nicht erfolgen kann. 
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21. Inwiefern greift die Logik der Apothekenhonorierung nach Ansicht der Bun¬ 
desregierung bei Versandapotheken fehl, da der Fixanteil für die Beratung 
gedacht ist, die aber in Versandapotheken nicht aktiv angeboten werden 
muss und vermutlich erheblich weniger oft stattfindet? 

Inwiefern erwägt die Bundesregierung, die Beratungspauschale für Ver¬ 
sandapotheken abzusenken? 

Der Festzuschlag nach der Arzneimittelpreisverordnung dient der Deckung des 
Aufwandes der Apotheke bei der Abgabe eines verschreibungspflichtigen Arz¬ 
neimittels, soweit dieser nicht von anderen Zuschlägen nach der Arzneimittel¬ 
preisverordnung gedeckt wird. Dies schließt u. a. die Bereitstellung des Bera¬ 
tungsangebots und die tatsächliche Erbringung der Beratungsleistung ein. Eine 
preisliche Differenzierung danach, ob und in welchem zeitlichen oder inhaltli¬ 
chen Umfang Kunden der Apotheke das Beratungsangebot oder die Beratungs¬ 
leistung jeweils tatsächlich in Anspruch nehmen, findet nicht statt und wäre im 
Übrigen auch nicht sachgerecht. 

Im Übrigen wird auf die Antwort zu den Fragen 17 bis 20 verwiesen. 


22. Wie hoch ist nach Kenntnis der Bundesregierung der Anteil der Verkäufe 
von Versandapotheken, zu denen eine persönliche pharmazeutische Bera¬ 
tung stattfindet? 

Der Bundesregierung liegen hierzu keine Angaben vor. 
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